https://www.jpcert.or.jp/at/2026/at260021.html
引用元: JPCERTコーディネーションセンター 注意喚起
詳細、最新情報については、上記引用元を参照ください。
以下に概要を抜粋しております。
概要
Ruby on RailsのActive Storageにおけるリモートコード実行につながる脆弱性（CVE-2026-66066）に関する注意喚起
https://www.jpcert.or.jp/at/2026/at260021.html
I. 概要
** 更新：2026年8月3日追記 *********************************************
複数の概念実証（PoC）コードが公開されたことを受けて、2026年7月31日に開
発者がフォレンジック調査用のツールおよびガイドを公開しました。「V. 侵
害検出方法」に記載の情報を確認し、本脆弱性を悪用する攻撃の影響を受けて
いないか調査してください。
************************************************************************
II. 対象
本脆弱性は、次の3条件をすべて満たす環境に影響します。
- Active Storageの画像処理にlibvipsを使用していること（variantプロセッサが:vipsであること）
- 未信頼のユーザーからの画像アップロードを受け付けていること（アプリケーションの機能またはActive Storageのdirect upload経由）
- libvipsにおいて、特定のサードパーティライブラリを使用し、未信頼コンテンツには安全でないもの（unfuzzed）と分類されたファイルローダーが有効であること
※Active Storageのdirect upload機能は、デフォルトで有効となっており、
アプリケーション固有の認証・認可が標準では実装されていません。そのため、
標準のdirect uploadエンドポイントが外部から利用可能な場合、管理画面や
APIなどのユーザー向けアップロード機能を持たないアプリケーションでも、
本脆弱性の対象となる可能性があります。
※Rails 6.0.0から6.1.7.10までのバージョンについては、Active Storageが
デフォルトとは異なる設定でセットアップされている場合に影響を受ける可
能性があることをEthiackが指摘しています。
※Rails 6.0.0より前のバージョンでは本脆弱性の影響を受けないことを
GMO Flatt Securityが指摘しています。
V. 侵害検出方法
** 更新：2026年8月3日追記 *********************************************
開発者がフォレンジック調査用のツールおよびガイドを公開しました。開発者
が提供する最新の情報を参考に、本脆弱性を悪用する攻撃の影響を受けていな
いか調査してください。
Ruby on Rails Discussions
[CVE-2026-66066] Attack details, and tools to perform a forensic investigation
https://discuss.rubyonrails.org/t/cve-2026-66066-attack-details-and-tools-to-perform-a-forensic-investigation/91441
GitHub rails / rails-forensics-CVE-2026-66066
rails-forensics-CVE-2026-66066
https://github.com/rails/rails-forensics-CVE-2026-66066
************************************************************************
ご参考
ー
